使用RADIUS配置ISE的FDM外部身份驗證和授權

下載選項

PDF (3.1 MB)
在多種裝置上使用 Adobe Reader 檢視
ePub (2.8 MB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
Mobi (Kindle) (1.6 MB)
在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視

已更新: 2021 年 7 月 8 日

文件 ID:217234

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文檔介紹將Cisco Firepower裝置管理器(FDM)與身份服務引擎(ISE)整合以便管理員使用者通過RADIUS協定進行GUI和CLI訪問的過程。

必要條件

需求

思科建議您瞭解以下主題：

Firepower裝置管理器(FDM)
身分識別服務引擎 (ISE)
RADIUS通訊協定

採用元件

本文中的資訊係根據以下軟體和硬體版本：

Firepower威脅防禦(FTD)裝置，所有平台Firepower裝置管理器(FDM)版本6.3.0+
ISE版本3.0

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

互通性

使用者配置使用者角色的RADIUS伺服器
必須在RADIUS伺服器上使用cisco-av-pair配置使用者角色
Cisco-av-pair = fdm.userrole.authority.admin
ISE可用作RADIUS伺服器

授權

無特定許可證要求，基本許可證足夠

背景資訊

此功能允許客戶使用RADIUS為這些使用者配置外部身份驗證和多個使用者角色。

RADIUS支援，適用於具有3個系統定義使用者角色的管理存取：

只讀
READ_WRITE（無法執行系統關鍵操作，如升級、還原等）
管理員

能夠測試RADIUS伺服器的配置，監控活動使用者會話和刪除使用者會話。

此功能在FDM 6.3.0版中實施。在6.3.0版之前，FDM僅支援一個使用者（管理員）。

預設情況下，思科Firepower裝置管理器在本地對使用者進行身份驗證和授權，以便採用集中式身份驗證和授權方法，您可通過RADIUS協定使用思科身份服務引擎。

網路圖表

下一張影象提供了網路拓撲示例

流程：

管理員使用者引入其憑證。
身份驗證過程已觸發，ISE在本地或通過Active Directory驗證憑證。
身份驗證成功後，ISE會向FDM傳送用於身份驗證和授權資訊的允許資料包。
帳戶在ISE上執行，並且身份驗證活動日誌成功。

設定

FDM 組態

步驟1.登入到FDM，然後導航到Device > System Settings > Management Access頁籤

步驟2.建立新的RADIUS伺服器群組

步驟3.創建新的RADIUS伺服器

步驟4.將RADIUS伺服器新增到RADIUS伺服器群組

步驟5.選擇建立的組作為管理伺服器組

步驟6.儲存組態

ISE 組態

步驟1.導航至三行圖示位於左上角，在Administration > Network Resources > Network Devices中選擇

步驟2.選擇+Add按鈕並定義Network Access Device Name和IPAddress，然後選中RADIUS覈取方塊並定義共用金鑰。提交時選擇

步驟3.導航至三行圖示位於左上角，選擇管理>身份管理>組

步驟4.在User Identity Groups上選擇，然後選擇on +Add按鈕。定義名稱並在提交時選擇

附註：在此示例中，建立了FDM_Admin和FDM_ReadOnly身份組，您可以對FDM上使用的每種型別的管理員使用者重複步驟4。

步驟5.導航至位於左上角的三行圖示，然後選擇管理>身份管理>身份。選擇on +Add並定義使用者名稱和密碼，然後選擇使用者所屬的組。在此示例中，分別建立了fdm_admin和fdm_readonly使用者並將其分配給FDM_Admin和FDM_ReadOnly組。

步驟6.選擇位於左上角的三個行圖示，然後導航到Policy > Policy Elements > Results > Authorization > Authorization Profiles，選擇on +Add，為Authorization Profile定義名稱。選擇Radius Service-type並選擇Administrative，然後選擇Cisco-av-pair，並貼上管理員使用者獲得的角色，在這種情況下，使用者將獲得完整的管理員許可權(fdm.serrole.authority.admin)。選擇Submit。為每個角色（配置為本文檔中的另一個示例的只讀使用者）重複此步驟。

附註：確保「高級屬性」部分的順序與影象示例的順序相同，以避免在使用GUI和CLI登入時產生意外結果。

步驟8.選擇三行圖示並導航至Policy > Policy Sets。選擇時間按鈕位於Policy Sets標題下，定義名稱並在中間的+按鈕上選擇以新增新條件。

步驟9.在「條件」視窗中，選擇新增屬性，然後選擇Network Device Icon,後跟Network access device IP address。選擇屬性值並新增FDM IP地址。新增新條件，依次選擇Network Access和Protocol選項，選擇RADIUS，然後選擇使用一次。

步驟10.在allow protocols部分，選擇Device Default Admin。儲存時選擇

步驟11.選擇右箭頭用於定義身份驗證和授權策略的策略集的圖示

步驟12.選擇位於身份驗證策略標題下方，定義名稱並在中間的+上選擇以新增新條件。在「條件」視窗下，選擇新增屬性，然後在網路裝置圖示上依次選擇網路接入裝置IP地址。選擇屬性值並新增FDM IP地址。完成後在使用時選擇

步驟13.選擇Internal Users作為Identity Store並選擇儲存

附註：如果ISE加入到Active Directory，可以將身份儲存更改為AD儲存。

步驟14.選擇於位於授權策略標題下方，定義名稱並在中間的+上選擇以新增新條件。在「條件」視窗下，選擇新增屬性，然後選擇Identity Group圖示，後跟Internal User:Identity Group。選擇FDM_Admin組，選擇AND和NEW選項以新增新條件，選擇埠圖示後跟RADIUS NAS-Port-Type:Virtual，然後選擇使用。